Riesgo de agrupación que ningún auditor de proveedores ve
Por qué los auditorías individuales pasan por alto el riesgo de agrupación y cómo un consejo de administración controla el riesgo de concentración y …
Perfil del autor
Tobias Massow
Tobias Massow es director general de Evernine Media GmbH y editor de SecurityToday. Dirige la orientación estratégica de la revista y de toda la red MBF Media.
Artículos de Tobias Massow
234 artículos 
El Cyber Resilience Act también afecta a su stock existente
A partir del 11 de septiembre de 2026 entra en vigor una nueva obligación que muchas empresas aún subestiman. Quien vende productos conectados en …
Cero confianza en el proveedor de energía: lo que ahora revelan las auditorías de NIS2
El BSI iniciará en el verano de 2026 las primeras auditorías NIS2 en proveedores críticos de suministro energético (KRITIS).
DORA y NIS2: Por qué las auditorías bancarias ahora chocan
DORA y NIS2 se entrelazan, los caminos de auditoría corren en paralelo. Tres realidades por las que los bancos se equivocan al implementarlos doblemente.
MFA adaptativa: la configuración de fábrica no es suficiente
La autenticación multifactor (MFA) adaptativa suele estar activada, pero no configurada: cómo la autenticación basada en riesgos protege de verdad más…
Donde la pequeña y mediana empresa todavía está técnicamente rezagada en NIS2
Comprobación NIS2 para las empresas de tamaño medio: cinco brechas técnicas que llaman la atención en la auditoría y cómo se pueden cerrar antes …
Ivanti Connect Secure nuevamente en la CISA KEV: Tercer incidente en 18 meses
CISA ha incluido una nueva vulnerabilidad de Ivanti Connect Secure en la KEV. Mandiant informa de explotación activa en redes de infraestructuras…
AI-Phishing: Los filtros de correo se vuelven ciegos.
El AI‑phishing elude los filtros de correo clásicos como Gmail, SpamAssassin y Proofpoint.
La puerta trasera en casi todos los contratos de hosting alemán
Una vulnerabilidad crítica en la interfaz de hosting más utilizada entre las medianas empresas permite a los atacantes obtener acceso completo sin…
Fugas de código fuente: Los atacantes conocen al proveedor de seguridad antes del parche
Trellix, Okta, LastPass - tres proveedores de seguridad, tres brechas en el código fuente, un patrón. Los atacantes comprometen de forma selectiva a los …
Un push de Git es suficiente para RCE en servidores empresariales de GitHub
CVE-2026-3854 (CVSS 8.7): Ejecte remota en GitHub Enterprise mediante git push. El 88% de las instancias autoalojadas no están parcheadas.
Bitwarden CLI: Ataque a la cadena de suministro a través de GitHub Actions
Bitwarden-CLI 22.04.2026: La acción de GitHub checkmarx/ast-github-action es la palanca.
500.000 datos de pacientes en 96 horas: Informe de incidente anónimo de un grupo de clínicas DACH
Abril 2026: Oleada de brechas en atención sanitaria. Informe de incidente anónimo de DACH con 500k datos de pacientes, reconstrucción en 96h, obligaciones NIS2/DSGVO.
PaperCut NG/MF bajo ataque activo: Por qué un error de 2023 vuelve al CISA-KEV un año después
PaperCut NG/MF ha estado de vuelta en el CISA-KEV desde el 20 de abril de 2026. CVE-2023-27351 está siendo explotado activamente. Barrido de inventario …
Infostealer 2026: Por qué los cookies de sesión robados anulan la MFA
RedLine, Lumma, Raccoon: el malware Infostealer roba cookies de sesión y evade la autenticación multifactor. ¿Qué realmente ayudará en 2026?
Los certificados de Secure Boot caducan en junio de 2026: qué deben implementar los equipos de TI antes de la fecha límite para su flota de Windows
A partir de junio de 2026, los certificados de Microsoft Secure Boot emitidos en 2011 perderán su validez. Los equipos de TI tienen dos …
Cyber Resilience Act desde el 11 de septiembre de 2026: La obligación de notificación de 24 horas, para la que los equipos de seguridad IT deben establecer procesos ahora
Desde el 11.09.2026 aplica la obligación de notificación del CRA: alerta temprana en 24h, notificación completa en 72h, informe final en 14 días. Lo …
Claude Mythos: Evaluación de la situación para Equipos de Seguridad
Anthropic ha creado un modelo de IA que detecta vulnerabilidades más rápido que la mayoría de los equipos de seguridad. Claude Mythos descubrió un …
Autenticación de correo electrónico: cómo configurar SPF, DKIM y DMARC correctamente
Gmail rechaza correos sin DMARC. Cómo configurar SPF, DKIM y DMARC correctamente en 5 días.
Criptografía poscuántica: por qué las empresas deben migrar su cifrado ahora
El NIST ha finalizado tres estándares poscuánticos. Plazo BSI 2030/2032. Por qué la migración PQC debe comenzar ahora.
Inteligencia artificial local como estrategia de seguridad: qué significa Gemma 4 para la protección de datos según el RGPD
Con Gemma 4, se puede ejecutar la IA por primera vez en calidad lista para producción completamente On-Premise. ¿Qué significa esto para los equipos …
